Señales de alerta de lavado de activos: cómo detectarlas en los estados financieros y en sus terceros con IA

En resumen: las señales de alerta de lavado de activos son hechos, cifras o comportamientos que se salen de lo normal para un cliente, un proveedor o un sector y que obligan a mirar más de cerca; no son una prueba ni, por sí solas, un motivo para reportar. En Colombia, la Superintendencia de Sociedades las lista en el numeral 9.20 del nuevo Capítulo IX de su Circular Básica Jurídica, la UIAF recibe los reportes de operaciones sospechosas y el GAFI publica indicadores internacionales. La inteligencia artificial ayuda a encontrarlas en el 100 % de los datos —estados financieros y bases de terceros—, pero decidir si una señal es una operación sospechosa sigue siendo trabajo del oficial de cumplimiento, del revisor fiscal y del auditor.

Qué son las señales de alerta de lavado de activos (las red flags del GAFI)

Definición: una señal de alerta de lavado de activos es cualquier hecho, situación, cuantía, indicador cuantitativo o cualitativo o razón financiera a partir de la cual se puede inferir, de forma oportuna o prospectiva, que algo escapa a lo que la empresa considera normal para su negocio, su sector o su contraparte. Así la define la Supersociedades en su Circular Básica Jurídica. La UIAF agrega el matiz que más importa en la práctica: no todas las operaciones atípicas las hacen organizaciones criminales, por eso identificar una señal de alerta no basta para reportar de inmediato; obliga a analizar.

La diferencia entre tres palabras le ahorra muchos malentendidos:

• Señal de alerta: el indicio. Un crecimiento de ingresos sin explicación, un proveedor cuyo NIT está cancelado, un pago que llega desde un tercero que no es el cliente.
• Operación inusual: la operación que, por su cuantía o características, no encaja con la actividad de la contraparte. Se analiza y se documenta.
• Operación sospechosa: la inusual que, después del análisis, no se pudo justificar razonablemente. Esa sí se reporta a la UIAF.

Si usted lee los informes del GAFI (en inglés, the Financial Action Task Force, FATF), encontrará cada señal de alerta como una red flag o AML red flag, y muchas guías en inglés se titulan «10 AML red flags» o «common AML red flags». Le dejo el pequeño glosario que uso cuando paso esos documentos por la IA, porque el modelo responde mejor si le habla en los dos idiomas:

Ojo con la norma: ya no es el Capítulo X

En el laboratorio de debida diligencia yo dije «el Capítulo X de la Circular Básica Jurídica», como lo conocimos desde la Circular Externa 100-000016 de 2020. Hay que actualizarlo. El 2 de julio de 2026 la Supersociedades expidió la Circular Externa 100-000020, que adopta una nueva Circular Básica Jurídica y unifica el SAGRILAFT y el Programa de Transparencia y Ética Empresarial en un solo Capítulo IX: Sistema de Autocontrol y Gestión de Riesgos LA/FT/FP y C/ST. Lo que cambia para usted:

• Los topes se expresan en UVB, no en salarios mínimos. Están obligadas al sistema completo las sociedades vigiladas o controladas por la Supersociedades con ingresos totales o activos iguales o superiores a 4.929.017 UVB al 31 de diciembre del año anterior.
• Hay sectores con tope menor (3.696.762 UVB): agentes inmobiliarios, metales y piedras preciosas, servicios jurídicos, construcción, comercio de vehículos y —pilas— servicios contables (CIIU 6920). Una firma de contadores grande puede ser sujeto obligado.
• Transición: quien ya estaba obligado tiene hasta el 31 de mayo de 2027 para ajustar su sistema; mientras tanto, el sistema actual se entiende válido.
• Las señales de alerta están en el numeral 9.20, y la propia circular advierte que esa lista no es taxativa: cada empresa debe construir las suyas a partir de su evaluación de riesgos.

Un detalle que me gustó: la circular menciona expresamente que la inteligencia artificial puede automatizar la recopilación y el análisis de datos de clientes, identificar patrones de actividades sospechosas y generar puntuaciones de riesgo, y remite al informe del GAFI sobre nuevas tecnologías. No es una moda que traemos los que enseñamos IA; el supervisor ya la nombra.

Las señales de alerta que lista la Supersociedades (y las que agrega el GAFI)

El numeral 9.20 agrupa las señales en cuatro frentes. Este es un resumen, no la transcripción completa; la lista oficial está en la circular:

El GAFI y el Grupo Egmont publicaron en marzo de 2021 sus indicadores de riesgo de lavado basado en el comercio exterior (red flag indicators agrupados en cuatro familias: estructura de la empresa, actividad comercial, documentos y mercancías, y movimiento de cuentas o accounts), que encajan con muchos casos colombianos de importación: facturas con precios que no corresponden al valor de mercado, márgenes sistemáticamente bajos, una entidad nueva con volúmenes altos, pagos de mercancía hechos por alguien distinto al importador, y diferencias entre lo importado y lo girado al exterior. El mismo documento advierte que un solo indicador no justifica por sí mismo la sospecha: invita a monitorear y examinar. Es la misma idea de la UIAF, dicha en otro idioma.

Lo que vi en vivo (1): señales de alerta en estados financieros públicos

Auditar a mano cinco años de estados financieros de una empresa, con análisis vertical, horizontal, razones e informe, nos tomaba días, a veces semanas. En el laboratorio de mayo de 2026 tomé los estados financieros públicos de 2021 a 2025 de la sociedad detrás de la cadena Lili Pink, que la Fiscalía había intervenido semanas antes con medidas cautelares con fines de extinción de dominio sobre 405 establecimientos, por un presunto lavado de activos que, según el ente acusador, superaría los 730.000 millones de pesos. La empresa negó su responsabilidad y la investigación sigue en curso.

Aviso: es un ejercicio pedagógico hecho con información pública (Supersociedades y cámara de comercio). No emitimos opinión sobre responsabilidades penales ni civiles de ninguna persona o entidad; eso le corresponde a la justicia. Como dije ese día: no estamos acusando; los datos hablan.

Antes de pasar nada por la IA miré los datos. Los años 2022 a 2024 venían de estados financieros auditados reportados a la Supersociedades; 2021 y 2025 venían del registro mercantil, incompletos y con totales que no cuadraban. Por eso le dije a la herramienta que tratara esos dos años con cautela. Luego le pasé un prompt de unas cuatro páginas a Manus, un agente autónomo. Esta es la estructura, resumida y adaptada:

Actúa como auditor senior de análisis de estados financieros, con dominio
de las NIA 240, 315 y 520 y del régimen SAGRILAFT de la Supersociedades.

Insumo: estados financieros 2021-2025 (adjuntos). 2022-2024 auditados;
2021 y 2025 tomados del registro mercantil, incompletos: trátalos como
no comparables y dilo en cada conclusión.

Fase 1 - Analiza cinco dimensiones: ingresos, márgenes y costos,
proveedores y pasivos, flujos financieros, indicadores de riesgo.
Clasifica cada indicio en alto, medio o bajo.

Fase 2 - Para cada indicio alto o medio entrega:
- la cifra y cómo la calculaste,
- dos hipótesis legítimas que lo explicarían,
- la evidencia que confirmaría la señal y la que la desclasificaría,
- el procedimiento de auditoría y la NIA aplicable.

Fase 3 - Excel con: índice, razones, semáforo de indicios,
señales SAGRILAFT, procedimientos y matriz de riesgos.
No concluyas sobre fraude ni lavado: esto es planeación, no dictamen.

Lo que hace útil ese prompt no es su largo, sino la fase 2: obliga a la IA a proponer la hipótesis inocente y la prueba que la descarta. Así se escriben las instrucciones en el módulo de ingeniería de prompts del programa de IA para auditores y revisores fiscales.

En menos de diez minutos tenía un informe en Word y un papel de trabajo en Excel con nueve pestañas. La pestaña que interesa aquí es la de señales SAGRILAFT:

Desde el minuto 41:08: en pantalla, la pestaña de señales SAGRILAFT del Excel que generó la IA, con la señal «crecimiento acelerado sin capitalización proporcional», su descripción cuantitativa, la hipótesis legítima y la evidencia que confirmaría o desclasificaría la señal. Mire cómo cada señal trae su salida: eso es lo que convierte una alerta en un procedimiento de auditoría.

Tres señales salieron con fuerza:

1. Crecimiento de ingresos sin capitalización proporcional. El patrimonio crecía solo por utilidades retenidas mientras las ventas subían. La IA propuso como hipótesis legítimas el crecimiento orgánico pospandemia y la financiación con proveedores del exterior; como evidencia que confirmaría la señal, ingresos sin soporte en la facturación electrónica, clientes ficticios o un flujo de caja incoherente con las ventas.
2. Días de pago a proveedores cercanos a 390. En otras empresas de retail que he analizado el indicador ronda los 140 a 150 días. La IA planteó dos hipótesis: plazos largos de proveedores asiáticos, o un solo proveedor vinculado que en realidad financia el negocio. La prueba: circularizar a los diez principales proveedores con la NIA 505 y verificar si alguno pesa más del 30 % del saldo.
3. Una caída fuerte de las cuentas por pagar no corrientes. Hipótesis legítimas: reclasificación al corto plazo, refinanciación o cancelación con un vinculado. Lo que la confirmaría como señal: contraparte vinculada y cancelación sin flujo de caja verificable ni acta que la respalde.

Ahora, el límite, dicho con calma. El indicador de días de pago lo calculó sobre el costo total y no sobre el promedio de las cuentas por pagar, y los datos de 2025 no cuadraban; por eso todas las cifras de este caso son indicios de planeación, no hallazgos. La IA no sabe que una señal de alerta es una pregunta: lo sabe usted. Y no confunda estos análisis con las pruebas de fraude sobre los asientos contables, que son otra herramienta y están en el artículo sobre la NIA 240 y las pruebas de asientos de diario con IA. La parte numérica de este ejercicio, paso a paso, está en el análisis vertical y horizontal con IA, y la circularización que propone la IA, en las confirmaciones externas de la NIA 505.

Lo que vi en vivo (2): las señales de alerta en sus terceros

El segundo frente es más cotidiano. En la mayoría de las empresas obligadas, la lista se consulta tercero por tercero, a mano, y la pantalla se cierra sin dejar rastro. Al día siguiente nadie puede demostrar que la consulta se hizo. Si cada tercero se busca en tres o cuatro portales y eso toma unos tres minutos, una base de 55 terceros son casi tres horas, y no queda evidencia.

En el laboratorio de septiembre de 2026 construí con Claude Code, a partir de un documento de requerimientos (PRD), una aplicación de debida diligencia de contrapartes con cuatro condiciones: motor determinístico (sin IA en la ejecución, para que el resultado sea reproducible y no cueste por consulta), cada alerta con una regla escrita, los datos de los terceros sin salir del equipo, y un informe con fecha, hora y versión de cada fuente. Coteja contra la lista consolidada del Consejo de Seguridad de la ONU, la lista SDN de la OFAC y el listado de proveedores ficticios de la DIAN, y deja el enlace para verificar en el RUES si el NIT existe o está cancelado. Solo necesita tres columnas: nombre, tipo y número de identificación.

Desde el minuto 46:52: en pantalla, la aplicación cargando la lista de la OFAC, las fechas de corte de cada fuente, el Excel de prueba con unos 55 terceros cotejado en dos o tres segundos y el primer resultado en verde, con el botón para revisar el tercero en el RUES. Fíjese en las fechas de corte: una lista que se actualizó ayer puede traer el nombre que la de la semana pasada no tenía.

La aplicación quedó publicada y es gratuita: debida diligencia de contrapartes. La construí sin escribir código, con el método que explico en el artículo sobre Claude Code para contadores.

Lo importante no es la velocidad, sino lo que la herramienta no decide. Tres cosas que vimos en vivo:

• Los homónimos. Una comercializadora salió en amarillo con un 96 % de similitud de nombre con un registro de la lista, pero sin coincidencia de documento. Dos nombres parecidos no son la misma empresa. Sin documento que lo confirme, es una duda, no un hallazgo.
• Las declaratorias levantadas. La DIAN publica también los proveedores ficticios cuya sanción se levantó. Quien consulta un listado viejo marca como vigente una sanción que ya no lo está. La calificación de proveedor ficticio se levanta pasados cinco años (art. 671 del Estatuto Tributario); mientras está vigente, las compras a ese proveedor no son deducibles en renta ni dan derecho a IVA descontable. De ese frente hablamos más en descargar las facturas electrónicas de la DIAN y cruzar proveedores ficticios.
• La materialidad del vínculo. No pesa igual el proveedor de papelería que el principal cliente. El riesgo lo pondera el criterio, no el porcentaje.

Y un matiz normativo que conviene tener claro: según la UIAF, las únicas listas internacionales vinculantes para Colombia son las del Consejo de Seguridad de la ONU (artículo 20 de la Ley 1121 de 2006). La lista OFAC, conocida como lista Clinton, es una decisión de un gobierno extranjero que se consulta como buena práctica; en la práctica pesa porque los bancos la aplican y pueden cerrar cuentas y pagos internacionales. Por eso conviene consultar las dos.

Lo que me llevo de ese día cabe en una frase: la IA no revisó los terceros; construyó a quién los revisa.

Qué hacer cuando aparece una señal de alerta

La señal no se reporta por reflejo, pero tampoco se archiva en silencio. La secuencia que exige la circular es esta:

1. Analizar y documentar. ¿La operación encaja con lo que sabemos de la contraparte, su actividad y su perfil? Se conservan los soportes que llevaron a calificarla como inusual o como sospechosa.
2. Si no se pudo justificar, reportar a la UIAF de inmediato como ROS, a través del SIREL. El reporte no es una denuncia penal: no exige certeza del delito ni identificar el tipo penal.
3. Guardar la reserva. La empresa y el oficial de cumplimiento deben mantener en reserva el reporte (Ley 526 de 1999). Nunca se le avisa a la contraparte.
4. Si una persona o entidad aparece en una lista vinculante y tiene bienes o fondos bajo la administración de la empresa, el oficial de cumplimiento lo reporta de inmediato a la UIAF y lo pone en conocimiento de la Fiscalía.
5. Si pasa un trimestre sin reportes, el oficial de cumplimiento presenta el informe de ausencia de ROS dentro de los diez días calendario siguientes.

El revisor fiscal tiene su propio deber: el numeral 10 del artículo 207 del Código de Comercio le ordena reportar a la UIAF las operaciones sospechosas que advierta en el giro ordinario de sus labores, y el artículo 57 de la Ley 2195 de 2022 le impone denunciar, dentro de los seis meses siguientes a conocer los hechos, ciertos delitos detectados en el ejercicio del cargo, sin que aplique el secreto profesional. La circular, además, le pide valorar el sistema y emitir una opinión sobre su existencia y funcionamiento. Lo ampliamos en las funciones del revisor fiscal con IA.

La misma señal, leída con tres sombreros

• El contador: antes de causar, coteje al proveedor. Una compra a un proveedor ficticio no se queda en el IVA: toca la renta, la retención, el ICA y la exógena. Hágalo antes del vínculo, no después, porque después el daño ya está hecho.
• El auditor o revisor fiscal: coteje el 100 % de los terceros y del periodo. Cada señal debe terminar en un procedimiento con evidencia que la confirme o la desclasifique, y en el papel de trabajo debe quedar qué fuente se consultó, en qué versión y a qué hora.
• El financiero: el caso de los 390 días de pago es también un riesgo de liquidez. Si casi toda la operación la financian los proveedores, una noticia que les quite la confianza corta la financiación de un día para otro. Analice la dependencia de sus proveedores con el mismo rigor con el que analiza el crédito de sus clientes.

Si usted quiere ver el lado del riesgo de usar estas herramientas —confidencialidad, alucinaciones, responsabilidad—, lo tratamos en los riesgos de la inteligencia artificial para contadores. Y la actitud de no aceptar el semáforo sin preguntar tiene nombre propio en la NIA 200: escepticismo profesional.

Para el listado de proveedores ficticios de la DIAN en particular, Cotejo 360 cruza a todos los proveedores de su facturación electrónica contra el listado vigente y le dice cuánto le compró a cada uno: según el artículo 671 del Estatuto Tributario, esas compras no son deducibles ni dan derecho a IVA descontable.

Qué compras quedan en riesgo, con qué norma y un ejemplo resuelto está en la ficha de compras a proveedores ficticios de la DIAN, en el sitio oficial de Cotejo 360.

Preguntas frecuentes

¿Cuáles son las señales de alerta del lavado de activos?

Las más comunes son: contrapartes que no explican el origen de los fondos, actividad que no concuerda con su perfil, pagos fraccionados o en efectivo sin constancia de quién paga, crecimiento inexplicable de ingresos, facturas infladas, transferencias a paraísos fiscales, sociedades de papel y beneficiario final no identificado. La Supersociedades las agrupa en el numeral 9.20 del Capítulo IX y advierte que la lista no es taxativa.

¿Qué son las señales de alerta en el SARLAFT?

Son el mismo concepto aplicado a las entidades vigiladas por la Superintendencia Financiera, que trabajan con el SARLAFT. Las empresas del sector real vigiladas por la Supersociedades usan el sistema de autocontrol que antes se llamaba SAGRILAFT y que hoy está en el Capítulo IX. En ambos casos, la señal activa un análisis, no un reporte automático.

¿Cómo saber si alguien está lavando dinero?

Desde la contabilidad o la auditoría no se puede saber con certeza, y no le corresponde concluirlo: eso lo determina la justicia. Lo que sí puede hacer es identificar operaciones que no tienen una justificación razonable, documentarlas y, si el análisis no las explica, reportarlas a la UIAF.

¿Qué señales de alerta pueden aparecer en clientes, empleados y proveedores?

En clientes, pagos de terceros sin relación aparente o fraccionados. En proveedores, NIT cancelado en el RUES, presencia en el listado de proveedores ficticios de la DIAN o precios que no corresponden al mercado. En empleados, un estilo de vida o unas operaciones que no corresponden a su ingreso. En todos, la coincidencia en una lista restrictiva confirmada por documento.

¿Qué se debe hacer al detectar una señal de alerta?

Analizarla con los soportes, documentar la conclusión y, si la operación no se pudo justificar, reportarla de inmediato a la UIAF por el SIREL como operación sospechosa, guardando reserva. Si la contraparte está en una lista vinculante, además se informa a la Fiscalía.

La coincidencia del 96 % que nadie firma por usted

En los dos laboratorios la IA hizo lo que mejor sabe hacer: leyó todo, calculó todo y puso colores. Pero la comercializadora en amarillo, los 390 días y la caída de las cuentas por pagar quedaron exactamente donde deben quedar: como preguntas. Una coincidencia no es un hallazgo. Cerrar la duda —pedir el documento, circularizar al proveedor, leer el acta— es trabajo de alguien que entiende de NIA, de SAGRILAFT y del negocio del cliente.

Eso es lo que trabajamos en el Programa Ejecutivo en IA para Auditoría: en el módulo de planeación y evaluación de riesgos convertimos las señales en procedimientos con evidencia que confirma o desclasifica, y en el de vibe coding y automatizaciones cada estudiante construye su propia herramienta, como la de contrapartes, para dejar el soporte que le van a pedir dentro de un año. Si ya tiene una señal en la mesa y no sabe si es inusual o sospechosa, escríbame por WhatsApp y la revisamos con criterio.

Fuentes

• Superintendencia de Sociedades, Circular Externa 100-000020 del 2 de julio de 2026 (nueva Circular Básica Jurídica), Capítulo IX, numerales 9.4, 9.5, 9.11, 9.15, 9.19, 9.20, 9.28 y 9.29, y definiciones de «señales de alerta», «ROS» y «listas vinculantes». Consultada el 4 de octubre de 2026.
• Superintendencia de Sociedades, Circular Básica Jurídica 100-000008 de 2022, Capítulo X (régimen de la Circular Externa 100-000016 de 2020), en la versión interactiva del sitio de la entidad. Consultada el 4 de octubre de 2026.
• UIAF, Documento de preguntas frecuentes (numerales 2.7, 5.2 y 5.4: qué es una señal de alerta, listas obligatorias y lista OFAC). Consultado el 4 de octubre de 2026.
• FATF–Egmont Group, Trade-Based Money Laundering: Risk Indicators, marzo de 2021. Consultado el 4 de octubre de 2026.
• Estatuto Tributario, artículo 671 (proveedores ficticios o insolventes). Consultado el 4 de octubre de 2026.
• Código de Comercio, artículo 207, numeral 10; Ley 1121 de 2006, artículo 20; Ley 2195 de 2022, artículo 57; Ley 526 de 1999 (citados en la Circular Externa 100-000020 de 2026). Consultados el 4 de octubre de 2026.
• El Colombiano, «Fiscalía revela detalles del caso Lili Pink: el lavado de activos podría superar los $730.000 millones», y Bloomberg Línea, «Fiscalía impone medidas con fines de extinción de dominio contra 405 locales de Lili Pink», 28 de abril de 2026; Infobae, «La Fiscalía adelantó allanamientos y extinción de dominio en tiendas de Lili Pink: la marca se pronunció», 27 de abril de 2026. Consultados el 4 de octubre de 2026.

Autor: Francisco Moreno Díaz — CP · MBA · MBAN · CAIO
Publicado en: IA Contable